BTCPay Server, bazı kullanıcıların sıcak cüzdanlarındaki bitcoinlerin izinsiz şekilde boşaltıldığına ilişkin bildirimler sonrası sunucu sahiplerine sistemlerini geçici olarak kapatma çağrısında bulundu. Açık kaynaklı ödeme aracı, inceleme tamamlanana kadar kullanıcıların sunucularını çevrimdışı tutmasını istedi.

İnceleme sürüyor

BTCPay Server, işletmelerin bitcoin ödemelerini doğrudan kendi cüzdanlarına almasını sağlayan ücretsiz ve açık kaynaklı bir yazılım olarak biliniyor. Bu yapı sayesinde aracı bir saklama hizmeti devreye girmiyor. Ancak internet bağlantısı açık sıcak cüzdan kullanımı, güvenlik riskini de beraberinde getiriyor.

Proje ekibi, saldırganların bazı sunuculardaki sıcak cüzdanları tamamen boşalttığı yönünde bildirimler aldığını açıkladı. Ekip, etkilenen sunucu sayısını ya da toplam kaybı henüz paylaşmadı. Ayrıca şu aşamada kesin bir düzeltme yayımlanmış değil.

BTCPay Server ekibi, yetkisiz saldırganların bazı BTCPay sunucularındaki sıcak cüzdanları boşalttığına dair bildirimler aldıklarını, bu nedenle inceleme sonuçlanana kadar kullanıcıların sistemlerini kapatmaları gerektiğini duyurdu.

BTCPay Server’ın yapısı gereği her işletme yazılımı kendi özel sunucusunda çalıştırıyor. Bu nedenle merkezi bir kapatma mekanizması bulunmuyor. Proje ekibi, sistemleri kullanıcılar adına durduramadığı için çağrıyı doğrudan sunucu sahiplerine yaptı.

Sıcak cüzdan riski öne çıktı

Sıcak cüzdanlar, internete bağlı oldukları için hızlı ödeme akışı sağlıyor. Buna karşılık, işlemleri imzalamak için gereken gizli bilgilerin sunucuda tutulması, o sunucuya izinsiz erişim sağlanması halinde fonların da taşınabilmesine yol açabiliyor. BTCPay Server dokümantasyonunda da bu özelliğin güvenlik sonuçları olduğuna ilişkin açık uyarı yer alıyor.

Mini sözlük: LND, Lightning Network üzerinde çalışan bir düğüm yazılımıdır. Lightning Network ise Bitcoin üzerinde daha hızlı ve düşük maliyetli ödeme akışı sağlamak için kullanılan ikinci katman çözümüdür.

BTCPay Server’ın kurucusu Nicolas Dorier, ilk bulguların 2.4.2 sürümünden eski yayımlarla bağlantılı göründüğünü söyledi. Dorier, proje ekibinin kullandığı ve 2.4.7 sürümünde çalışan kamuya açık sunucuların saldırıya uğramadığını belirtti. Buna karşın daha yeni sürümlerin tamamen güvenli olduğu yönünde kesin bir açıklama yapmadı.

Nicolas Dorier, gelen bildirimlerin 2.4.2 sürümünden eski BTCPay Server yayımlarıyla ilişkili göründüğünü, ancak saldırganların yönetici erişimini nasıl elde ettiğinin henüz belirlenemediğini aktardı.

Eski açık yeniden gündemde

Dorier’nin verdiği bilgiye göre saldırıya uğrayan sunucularda saldırganlar yönetici hesabıyla oturum açtı. Bu hesap, sistem üzerinde en yüksek düzeyde yetki sağlıyor. Ekip, bu erişimin nasıl elde edildiğini henüz netleştirebilmiş değil.

BTCPay Server, ağustos ayında 2.4.2 öncesi sürümlerde bulunan başka bir güvenlik açığını doğrulamıştı. Söz konusu açık, dışarıdan bir kişinin Lightning altyapısında kullanılan LND kimlik bilgisi dosyalarını ele geçirmesine imkan tanıyordu. Bu dosyaları alan saldırgan, ilgili düğümü kontrol ederek fonları taşıyabiliyordu. Ekip bu sorunu 2.4.2 sürümünde giderdi.

Son olay, kripto piyasasında güvenlik tartışmalarının yeniden yoğunlaştığı bir döneme denk geldi. Buna rağmen BTCPay Server cephesinde soruşturma tamamlanmadan kesin neden, etki alanı ve güvenli sürüm çerçevesi konusunda nihai bir sonuca varılmış değil.